CVE-2021-32989

Reflected XSS w LCDS LAquis SCADA poprzez komunikaty błędów

CVSS 9.3v3.1pub. 2022-05-25upd. 2024-11-21

Aplikacja LCDS LAquis SCADA w wersji 4.3.1.1011 i wcześniejszych zwraca komunikaty błędów zawierające niezwalidowane dane wejściowe, co umożliwia przeprowadzenie ataku reflected cross-site scripting (XSS). Podatność jest szczególnie groźna w środowiskach przemysłowych SCADA, gdzie kompromitacja interfejsu może prowadzić do manipulacji danymi operacyjnymi.

▸ Pokaż oryginał (EN)

When a non-existent resource is requested, the LCDS LAquis SCADA application (version 4.3.1.1011 and prior) returns error messages which may allow reflected cross-site scripting.

🤖 Analiza AI

Jak działa

Gdy użytkownik lub atakujący żąda zasobu, który nie istnieje w aplikacji, serwer zwraca komunikat błędu zawierający fragment oryginalnego żądania bez odpowiedniego kodowania lub filtrowania. Atakujący może skonstruować specjalnie przygotowany adres URL zawierający złośliwy skrypt JavaScript, który zostanie osadzony w odpowiedzi serwera i wykonany w przeglądarce ofiary. Atak wymaga nakłonienia użytkownika do kliknięcia w przygotowany link, co jest typowym wektorem dla reflected XSS.

Skutki

Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki zalogowanego użytkownika, co umożliwia kradzież sesji, przechwycenie danych uwierzytelniających oraz potencjalną manipulację interfejsem systemu SCADA. W środowisku przemysłowym może to prowadzić do nieautoryzowanego dostępu do funkcji sterowania procesami.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje zawiera poradnik ICS-CERT ICSA-21-208-04 dostępny pod adresem https://www.cisa.gov/uscert/ics/advisories/icsa-21-208-04. Dodatkowe zalecenia obejmują ograniczenie dostępu do interfejsu aplikacji SCADA wyłącznie do zaufanych sieci oraz stosowanie mechanizmów WAF tam, gdzie jest to możliwe.

Kogo dotyczy

LCDS LAquis SCADA w wersji 4.3.1.1011 oraz wszystkich wcześniejszych wersjach.

Uwagi

Podatność dotyczy systemu klasy ICS/SCADA, co zwiększa potencjalne ryzyko operacyjne w środowiskach przemysłowych. Poradnik bezpieczeństwa został opublikowany przez ICS-CERT (ICSA-21-208-04) w 2021 roku, natomiast wpis CVE ukazał się w maju 2022 roku.